L’Iran multiplie les opérations de cyber-influence pour soutenir le Hamas

Les cyber-opérations et les opérations d'influence de l'Iran sont passées par plusieurs phases depuis l'attaque terroriste du Hamas du 7 octobre. Un élément de leurs opérations est resté constant : la combinaison de cyberciblages opportunistes et d'opérations d'influence qui induisent souvent en erreur quant à la précision ou à l'ampleur de l'impact.

Ce rapport se concentre sur les opérations d'influence iraniennes et les opérations de cyber-influence du 7 octobre jusqu'à la fin de 2023, tout en couvrant les tendances et les opérations remontant au printemps 2023.

Les groupes iraniens ont été réactifs lors de la phase initiale de la guerre entre Israël et le Hamas. Les médias d'État iraniens ont fourni des détails trompeurs sur les cyberattaques revendiquées et les groupes iraniens ont réutilisé du matériel daté provenant d'opérations historiques, ont réutilisé l'accès qu'ils avaient avant la guerre et ont exagéré la portée et l'impact globaux des cyberattaques revendiquées.

Près de quatre mois après le début de la guerre, Microsoft n'a toujours pas trouvé, dans ses données, de preuves claires indiquant que des groupes iraniens ont coordonné leurs opérations cybernétiques ou d'influence avec les plans du Hamas visant à attaquer Israël le 7 octobre. La prépondérance de nos données et de nos conclusions suggère plutôt que les cyberacteurs iraniens ont réagi en intensifiant rapidement leurs opérations cybernétiques et d'influence après les attaques du Hamas pour contrer Israël.

Détails trompeurs sur les attaques revendiquées par les médias d'État : 
Le jour où la guerre a éclaté, l'agence de presse Tasnim, un média iranien affilié au Corps des gardiens de la révolution islamique (CGRI), a affirmé à tort qu'un groupe appelé « Cyber Avengers » avait mené des cyberattaques contre une centrale électrique israélienne « en même temps » que les attaques du Hamas. ² Cyber Avengers, un cyberpersonnage géré par le CGRI, a en fait affirmé avoir mené une cyberattaque contre une compagnie d'électricité israélienne la veille de l'incursion du Hamas.³ Leurs preuves : des articles de presse datant de plusieurs semaines faisant état de coupures de courant « ces dernières années » et une capture d'écran d'une interruption de service non datée sur le site web de la compagnie. ⁴

Réutilisation de matériaux anciens : 
Après les attaques du Hamas contre Israël, les Cyber Avengers ont prétendu mener une série de cyberattaques contre Israël, dont les premières se sont révélées fausses d'après nos enquêtes. Le 8 octobre, ils ont prétendu avoir divulgué des documents sur une centrale électrique israélienne, alors que ces documents avaient déjà été publiés en juin 2022 par un autre cyberpersonnage géré par le CGRI, « Moses Staff ».⁵

Réutilisation de l'accès : 
Un autre cyberpersonnage, « Malek Team », dont nous estimons qu'il est dirigé par le Ministère du Renseignement de la république islamique d'Iran (MOIS), a divulgué des données personnelles d'une université israélienne le 8 octobre, sans lien clair avec le conflit naissant dans ce pays, ce qui donne à penser que la cible était opportuniste et peut-être choisie sur la base d'un accès préexistant avant le déclenchement de la guerre. Plutôt que d'établir des liens entre les données divulguées et le soutien aux opérations du Hamas, Malek Team a d'abord utilisé des hashtags sur X (anciennement Twitter) pour soutenir le Hamas et, quelques jours plus tard, a modifié son message pour s'aligner sur le type de message dénigrant le Premier ministre israélien Benjamin Netanyahou que l'on retrouve dans d'autres opérations d'influence iraniennes.

Le 18 octobre, le groupe Shahid Kaveh du CGRI, que Microsoft suit sous le nom de Storm-0784, a utilisé un ransomware personnalisé pour mener des cyberattaques contre des caméras de sécurité en Israël. Il a ensuite utilisé l'un de ses cyberpersonnages, « Soldiers of Solomon », pour prétendre à tort qu'il avait rançonné les caméras de sécurité et les données de la base aérienne de Nevatim. L'examen des images de sécurité divulguées par Soldiers of Solomon révèle qu'elles proviennent d'une ville située au nord de Tel Aviv et dotée d'une rue Nevatim, et non de la base aérienne du même nom. En fait, l'analyse de la localisation des victimes révèle qu'aucune d'entre elles ne se trouvait à proximité de la base militaire (voir figure 5). Si les groupes iraniens ont commencé à mener des attaques destructrices, leurs opérations sont restées largement opportunistes et ils ont continué à tirer parti de leurs activités d'influence pour exagérer la précision ou l'effet des attaques.

Le 21 octobre, un autre cyberpersonnage géré par le groupe Cotton Sandstorm du CGRI (communément appelé Emennet Pasargad) a partagé une vidéo montrant les attaquants en train de dégrader des écrans numériques dans des synagogues avec des messages qualifiant les opérations d'Israël à Gaza de « génocide ». ⁷ Il s'agit d'une méthode permettant d'intégrer des messages directement dans des cyberattaques visant une cible relativement vulnérable.

Au cours de cette phase, l'activité d'influence de l'Iran a utilisé des formes plus étendues et plus sophistiquées d'amplification inauthentique. Au cours des deux premières semaines de la guerre, nous n'avons détecté que des formes avancées minimes d'amplification inauthentique, ce qui suggère à nouveau que les opérations étaient réactives. Dès la troisième semaine de la guerre, l'acteur d'influence le plus prolifique de l'Iran, Cotton Sandstorm, est entré en scène en lançant trois opérations de cyber-influence le 21 octobre. Comme c'est souvent le cas pour ce groupe, il a utilisé un réseau de faux-nez sur les réseaux sociaux pour amplifier les opérations, bien que nombre d'entre eux semblent avoir été réaffectés à la hâte, sans couverture authentique les déguisant en Israéliens. À plusieurs reprises, Cotton Sandstorm a envoyé des SMS ou des e-mails en masse pour amplifier ou vanter ses opérations, en utilisant des comptes compromis pour renforcer l'authenticité.⁸

À partir de la fin novembre, des groupes iraniens ont étendu leur cyber-influence au-delà d'Israël, pour inclure des pays que l'Iran perçoit comme aidant Israël, très probablement pour affaiblir le soutien politique, militaire ou économique international aux opérations militaires d'Israël. Cet élargissement du ciblage a coïncidé avec le début des attaques contre des navires internationaux liés à Israël par les Houthis, un groupe militant chiite soutenu par l'Iran au Yémen (voir figure 8).⁹

Les opérations de cyber-influence de l'Iran ont également continué à se sophistiquer au cours de cette dernière phase. Ils ont mieux dissimulé leurs faux-nez en renommant certaines d'entre elles et en changeant leurs photos de profil pour qu'elles paraissent plus authentiquement israéliennes. Entre-temps, ils ont eu recours à de nouvelles techniques que nous n'avions jamais vues de la part d'acteurs iraniens, notamment l'utilisation de l'IA comme élément clé de leur message. Nous évaluons Cotton Sandstorm qui a perturbé les services de télévision en continu aux Émirats arabes unis et ailleurs en décembre sous le couvert d'un personnage appelé « For Humanity ». For Humanity a publié sur Telegram des vidéos montrant le groupe en train de pirater trois services de diffusion en ligne et de perturber plusieurs chaînes d'information avec une fausse émission d'information mettant en scène un présentateur apparemment généré par l'intelligence artificielle et prétendant montrer des images de Palestiniens blessés et tués lors d'opérations militaires israéliennes (figure 7).¹⁴ Des médias et des téléspectateurs des Émirats arabes unis, du Canada et du Royaume-Uni ont signalé des perturbations dans les programmes de télévision en continu, y compris ceux de la BBC, qui correspondaient aux affirmations de For Humanity.¹⁵

Pour atteindre ses objectifs dans l'espace informationnel, l'Iran s'est fortement appuyé sur quatre tactiques, techniques et procédures d'influence (TTP) au cours des neuf derniers mois. Il s'agit notamment de l'utilisation de l'usurpation d'identité et de capacités accrues pour activer les publics cibles, associées à un recours accru aux campagnes par SMS et à l'utilisation des médias liés au CGRI pour amplifier les opérations d'influence.

Se faire passer pour des groupes d'activistes israéliens et des partenaires iraniens 
Les groupes iraniens se sont appuyés sur une technique d'usurpation d'identité de longue date en développant des personnages plus spécifiques et plus convaincants qui se font passer à la fois pour des amis et des ennemis de l'Iran. De nombreuses opérations et personnalités iraniennes ont prétendu être des militants de la cause palestinienne.²⁷ Les opérations récentes menées par une personnalité que nous estimons être dirigée par Cotton Sandstorm sont allées plus loin, utilisant le nom et le logo de l'aile militaire du Hamas, les Brigades al-Qassam, pour diffuser de faux messages sur les otages détenus à Gaza et envoyer des messages menaçants aux Israéliens. Une autre chaîne Telegram qui a menacé des membres de Tsahal et divulgué leurs données personnelles, dont nous estimons qu'elle est gérée par un groupe du MOIS, utilise également le logo des Brigades al-Qassam. Il n'est pas certain que l'Iran agisse avec le consentement du Hamas.

De même, l'Iran a créé des imitations de plus en plus convaincantes d'organisations militantes israéliennes fictives situées à droite et à gauche du spectre politique israélien. Par l'intermédiaire de ces faux militants, l'Iran cherche à infiltrer les communautés israéliennes pour gagner leur confiance et semer la discorde.

Inciter les Israéliens à agir 
En avril et en novembre, l'Iran a réussi à plusieurs reprises à recruter des Israéliens à leur insu pour les faire participer à des activités sur le terrain visant à promouvoir ses fausses opérations. Dans le cadre d'une opération récente, intitulée « Tears of War », des agents iraniens auraient réussi à convaincre des Israéliens d'accrocher dans les quartiers israéliens des bannières « Tears of War » portant une image de Netanyahou apparemment générée par l'Iran et appelant à sa destitution (voir figure 11).²⁸

Amplification par le biais de textes et d’e-mails de plus en plus fréquents et sophistiqués 
Alors que les opérations d'influence iraniennes continuent de s'appuyer fortement sur l'amplification coordonnée et inauthentique des réseaux sociaux pour atteindre les publics cibles, l'Iran a de plus en plus recours à l'envoi massif de SMS et d’e-mails pour renforcer les effets psychologiques de ses opérations de cyber-influence. L'amplification sur les réseaux sociaux à l'aide de faux-nez n'a pas le même impact qu'un message apparaissant dans la boîte de réception d'une personne, et encore moins sur son téléphone. Cotton Sandstorm s'est appuyé sur ses succès antérieurs en utilisant cette technique à partir de 2022,²⁹ en envoyant des SMS, des e-mails ou les deux en masse dans au moins six opérations depuis le mois d'août. L'utilisation accrue de cette technique suggère que le groupe a perfectionné cette capacité et la considère comme efficace. L'opération « Cyber Flood » de Cotton Sandstorm à la fin du mois d'octobre comprenait jusqu'à trois séries de SMS et d’e-mails envoyés en masse à des Israéliens pour amplifier les cyberattaques revendiquées ou diffuser de fausses alertes sur les attaques du Hamas contre l'installation nucléaire israélienne près de Dimona.³⁰ Dans au moins un cas, ils ont utilisé un compte compromis pour renforcer l'authenticité de leurs e-mails.

Tirer parti des médias d'État 
L'Iran a utilisé des médias ouvertement et secrètement liés au CGRI pour amplifier les cyber-opérations présumées et parfois en exagérer les effets. En septembre, après que les Cyber Avengers ont revendiqué des cyberattaques contre le système ferroviaire israélien, les médias liés au CGRI ont presque immédiatement amplifié et exagéré leurs affirmations. L'agence de presse Tasnim, liée au CGRI, a cité à tort la couverture médiatique israélienne d'un événement différent comme preuve de la cyberattaque.³¹ Cette information a été amplifiée par d'autres médias iraniens et alignés sur l'Iran de manière à masquer encore davantage le manque de preuves à l'appui des allégations de cyberattaque.³²

Début de l’adoption de l'IA pour les opérations d'influence 
Le MTAC a observé que des acteurs iraniens utilisaient des images et des vidéos générées par l'IA depuis le début de la guerre entre Israël et le Hamas. Cotton Sandstorm et Storm-1364, ainsi que les médias affiliés au Hezbollah et au Hamas, ont utilisé l’IA pour renforcer l'intimidation et développer des images dénigrant Netanyahou et les dirigeants israéliens.

1. Une collaboration en plein essor 
Quelques semaines après le début de la guerre entre Israël et le Hamas, nous avons commencé à voir des exemples de collaboration entre des groupes affiliés à l'Iran, ce qui a permis d'améliorer les résultats obtenus par les acteurs. La collaboration abaisse la barrière à l'entrée, permettant à chaque groupe de contribuer aux capacités existantes et supprimant la nécessité pour un seul groupe de développer une gamme complète d'outils ou de savoir-faire.

Nous estimons qu'une paire de groupes liés au MOIS, Storm-0861 et Storm-0842, ont collaboré à une cyberattaque destructrice en Israël à la fin du mois d'octobre, puis en Albanie à la fin du mois de décembre. Dans les deux cas, Storm-0861 a probablement fourni un accès au réseau avant que Storm-0842 n'exécute le logiciel malveillant de type « wiper ». De même, Storm-0842 a exécuté des logiciels malveillants wiper sur des entités gouvernementales albanaises en juillet 2022, après que Storm-0861 ait obtenu un accès.

En octobre, un autre groupe lié au MOIS, Storm-1084, pourrait également avoir eu accès à une organisation en Israël où Storm-0842 a déployé le wiper « BiBi », nommé d'après le changement de nom des fichiers effacés par le logiciel malveillant avec la chaîne « BiBi ». Le rôle éventuel de Storm-1084 dans cette attaque destructrice n'est pas clair. Storm-1084 a mené des cyberattaques destructrices contre une autre organisation israélienne au début de l'année 2023, avec l'aide d'un autre groupe lié au MOIS, Mango Sandstorm (alias MuddyWater).³³

Depuis le début de la guerre, la Veille des menaces Microsoft a également détecté une collaboration entre un groupe lié au MOIS, Pink Sandstorm, et des unités cybernétiques du Hezbollah. Microsoft a observé des chevauchements d'infrastructure et des outils communs. La collaboration de l'Iran avec le Hezbollah dans le cadre d'opérations cybernétiques, même si elle n'est pas sans précédent, pose un problème, à savoir que la guerre pourrait rapprocher ces groupes au-delà des frontières nationales sur le plan opérationnel.³⁴ Comme les cyberattaques de l'Iran dans cette guerre ont toutes été combinées à des opérations d'influence, il est probable que l'Iran améliore ses opérations d'influence et leur portée en s'appuyant sur des locuteurs de langue maternelle arabe pour renforcer l'authenticité de ses cyberpersonnages inauthentiques.

2. Hyper focalisation sur Israël 
Les cyberacteurs iraniens s'intéressent de plus en plus à Israël. L'Iran s'intéresse depuis longtemps à Israël, que Téhéran considère comme son principal adversaire aux côtés des États-Unis. Ainsi, d'après les données de Veille des menaces Microsoft, les entreprises israéliennes et américaines ont presque toujours été les cibles les plus courantes de l'Iran au cours des dernières années. Avant la guerre, les acteurs iraniens se sont surtout concentrés sur Israël, suivi par les Émirats arabes unis et les États-Unis. Après l'éclatement de la guerre, l'attention portée à Israël s'est accrue. Quarante-trois pour cent des activités cybernétiques de l'État-nation iranien recensées par Microsoft ont visé Israël, soit plus que les 14 pays suivants réunis.

Nous pensons que la menace que représentent les opérations cybernétiques et d'influence de l'Iran augmentera à mesure que le conflit entre Israël et le Hamas se poursuivra, notamment en raison du risque croissant d'escalade sur d'autres fronts. Alors que les groupes iraniens se sont empressés de mener, ou simplement de fabriquer, des opérations dans les premiers jours de la guerre, ils ont ralenti leurs opérations récentes, ce qui leur a donné plus de temps pour obtenir l'accès souhaité ou mettre au point des opérations d'influence plus élaborées. Les phases de la guerre décrites dans le présent rapport montrent clairement que les opérations iraniennes de cyber-influence ont lentement progressé, devenant plus ciblées, plus collaboratives et plus destructrices.

Les acteurs iraniens se sont également montrés de plus en plus audacieux dans leur ciblage, notamment en menant une cyberattaque contre un hôpital et en testant les lignes rouges de Washington, apparemment sans se soucier des répercussions. Les attaques du CGRI contre les systèmes américains de contrôle de l'eau, bien qu'opportunistes, étaient apparemment un stratagème astucieux pour tester Washington en prétendant qu'il était légitime de s'en prendre à des équipements fabriqués en Israël.

À l'approche des élections américaines de novembre 2024, la collaboration accrue entre les groupes iraniens et affiliés à l'Iran laisse présager un plus grand défi pour ceux qui s'engagent dans la défense des élections. Les défenseurs ne peuvent plus se contenter de suivre quelques groupes. Au contraire, le nombre croissant d'agents d'accès, de groupes d'influence et de cyberacteurs rend l'environnement de la menace plus complexe et plus imbriqué.